証明できない信頼に依存する重要インフラ：規制当局に見つかる前に証拠のギャップを埋める

はじめに

エネルギー事業者、病院ネットワーク、水道事業者に「自社の運用は安全か」と尋ねれば、ほとんどの場合「はい」と答えるでしょう。しかし、その証拠を記録で示すよう求めると、その自信は急速に揺らぎます。重要インフラ事業者には、単に安全性を主張するだけでなく、必要に応じてレジリエンス（回復力）を証明することが求められるようになっており、その証明には多くの組織が体系的に保存してこなかった証拠が必要です。

こうした事業者が直面する規制の現実は、まさに二面性を持つものとなっています。KRITIS型の枠組みによる物理的レジリエンス義務が、NIS2のようなサイバーセキュリティやインシデント報告義務と並んで課されるようになりました。なぜなら、重要インフラとして登録されるほどの事業者は、その定義上、サイバーセキュリティの必須要件の対象となる「エッセンシャルエンティティ（重要事業体）」にも該当するからです。本記事では、こうした義務のうちサイバー側で証拠のギャップがなぜこれほど一般的なのか、そしてそのギャップを埋めるには何が必要なのかを解説します。

• ポイント1：重要インフラの地位には、物理的義務とサイバー義務の両方が同時に課されます。重要施設として登録された事業者は、通常サイバーセキュリティ規制上のエッセンシャルエンティティにも分類され、別個の証拠基準を満たす必要があります。
• ポイント2：物理的レジリエンスは目に見えるため証明しやすい一方、サイバーレジリエンスは可視化できません。フェンスや警備員の巡回、バックアップ発電機は直接点検できますが、アクセス制御やデータガバナンスは現場を歩いても確認できません。
• ポイント3：記録のないサイバーレジリエンスへの信頼は、レジリエンスではなく仮定に過ぎません。誰がいつ何にアクセスしたかを具体的に説明できない事業者は、実際のコントロールではなく「何も起きていない」ことに頼っている状態です。
• ポイント4：規制当局は、単発の評価ではなく継続的な証拠をますます求めるようになっています。リスク評価を一度提出しても、実際にインシデントが発生した際に監督当局が尋ねる「何が起きたのか」「その時どんなコントロールが機能していたのか」には答えられません。
• ポイント5：重要インフラ事業者に必要な証拠は、他のエッセンシャルエンティティにも必要な証拠と同じですが、より厳格な監査の下に置かれます。完全かつ継続的なクロスチャネルの監査証跡が、レジリエンスを主張するだけでなく証明するためのギャップを埋めます。

エグゼクティブサマリー

重要インフラ事業者が直面するコンプライアンスの範囲は、実際に拡大しています。登録、リスク評価、破壊行為や災害への対策を含む物理的レジリエンス要件に加え、同じ事業者がより広範なサイバー規制コンプライアンスの下でエッセンシャルエンティティに該当するため、サイバーセキュリティ義務も課されます。物理的側面は、目に見え点検可能な証拠が生まれるため、相応の注意が払われがちです。一方、サイバー側は、必要とされる「データアクセスやシステム活動の継続的かつ検索可能な記録」が、体系的に取得されていなければ事後に用意するのが困難なため、対応が遅れがちです。これらの分野のリスク・コンプライアンス責任者にとって、実務上の最優先事項は、失敗がインシデントや規制当局によって初めて可視化されるサイバー側の証拠ギャップを埋めることです。

なぜ重要インフラは今や物理的・サイバー両方の義務を意味するのか

エネルギー、医療、水道、交通、デジタルインフラなどの分野で重要インフラに該当する事業者は、その指定によって一つではなく二つの独立した義務が並行して課されることが増えています。

物理的レジリエンスとサイバーレジリエンスは別個の義務として規制される

物理的レジリエンスの枠組みは、災害や破壊行為、物理的な中断に対する重要サービスの継続性に焦点を当てています。つまり、関係当局への登録、影響評価、施設自体の保護措置などです。サイバーセキュリティ義務は、同じ事業者がエッセンシャルエンティティとして分類されることにより、全く異なるリスクに焦点を当てます。インシデント報告、情報システムのリスク管理、技術的・組織的セキュリティ対策の証拠などです。一方を十分に満たしても、もう一方でリスクが残る場合があります。

監査の厳格さは多くの事業者の証拠管理体制より速く高まる

指定基準の拡大や、物理・サイバー両監督当局の連携強化により、事業者への実務的な期待値も高まっています。単にコントロールを持つだけでなく、何かが起きた時にそのコントロールがどのように機能したかを、具体的かつタイムスタンプ付きで説明できることが求められます。多くの事業者は、より低い監査レベルを前提に証拠管理体制を構築してきたため、現在求められる水準に追いついていません。

なぜ物理的証拠は簡単で、サイバー証拠は難しいのか

この二つの義務の非対称性は、どちらをより重視するかではなく、どちらが自然に証拠を生み出し、どちらが証拠を生み出すために意図的な設計を要するかという点にあります。

外周は歩けても、アクセスログは歩けない

フェンスやIDカードリーダー、警備員の巡回などの物理的セキュリティ対策は、監査人が直接目で見て確認できます。サイバーレジリエンスには、そのような「現場確認」はありません。機密システムやデータへのアクセスが本当に管理・監視・記録されていたかは、記録を調べて初めて確認できます。そして、その記録は、そもそもシステムが継続的に記録を取得するよう設計されていなければ存在しません。

インシデントがないことはコントロールの証拠ではない

多くの事業者は、これまで問題が起きていないことを、コントロールが機能している証拠の代わりにしてしまいがちです。しかしこれは非常に危険な代用であり、インシデントや規制当局の調査が実際に発生した瞬間に崩壊します。特定の期間に「何が起きたか」「誰がどのシステムにアクセスし、どのデータがどこに移動したか」を示すよう求められた場合、その答えは既に記録として存在していなければなりません。記憶や推測から事後的に再構築することはできません。

サイバー証拠ギャップを埋めるために本当に必要なこと

このギャップを埋めるには、より良いポリシーを書くことが主眼ではありません。機密性の高い運用データや個人データを扱うシステムが、ポリシーで「存在する」とされている証拠を実際に生成していることを確保することが重要です。

機密データに関わる全システムでの継続的なログ取得

事業者の証拠ギャップは、コンプライアンスへの意欲の問題ではなく、多くの場合、運用上のトラブルシューティング用に設定されたログや、負荷時に制限されたログ、システム間で不完全なログ、あるいはそもそも出来事の全体像として相関されていないログが原因です。機密データを扱うすべてのチャネルで継続的かつ完全なログを取得することで、インシデント調査は推測の再構築ではなく、記録の検索作業となります。

証拠は規制当局が求める前に用意されていなければならない

重要インフラ事業者でインシデントが発生した場合、監督当局は「どのデータが誰によって、どの権限でアクセスされたか」「どんなコントロールがあったか」といった具体的な質問をします。既存の記録から即座に答えられる事業者と、記録が存在しない・時間内に集約できない事業者とでは、根本的に立場が異なります。

必要になる前に証拠基盤を構築する

重要インフラ事業者にとって実務上の最優先事項は、物理的レジリエンスに既に適用している厳格さで、サイバー側の義務も監査することです。機密性の高い運用データや個人データを扱う全システムで、ログが継続的かつ完全に取得されていること、その記録が手作業で集約せずとも迅速に検索できること、そして監督当局から具体的な要求があった際に実際に満たせる内容であることを確認します。これをインシデント発生時ではなく、事前に行うことで、レジリエンスの「主張」が「事実」になります。

データコントロールプレーンが重要インフラ事業者に必要な証拠を提供する方法

サイバーレジリエンスを主張ではなく証明するには、すべてのチャネル（メール、ファイル共有、API、AIエージェントなど）を通じて機密データが移動するたびに、すべてのアクセス・送信・共有・ダウンロードを継続的に記録し、事後の再構築ではなくオンデマンドで検索できる形で保持するガバナンス層が必要です。

Kiteworksのデータコントロールプレーンは、すべてのチャネルにデータ認識型のゼロトラスト・コントロールを適用し、各アクションを改ざん不可能かつ制限のない監査ログとして記録し、SIEMツールに直接連携します。これにより、重要インフラ事業者は、機密データが「いつ・誰の権限で・何が起きたか」を継続的かつ検索可能な記録として保持できます。シングルテナントでの導入、オンプレミス、自社クラウド、専用ホスティングなど、証拠基盤が事業者自身の管理下に置かれるため、外部の共有プラットフォームに依存しません。監督当局や社内調査から「何が起きたのか」と問われた際、その答えは既に記録として存在し、慌てて集約する必要がありません。

自社のサイバー証拠管理体制がこうした監査に耐えられるか確認したい組織は、カスタムデモを予約し、継続的かつクロスチャネルな監査証拠が自社の重要インフラ環境にどのように適用できるかを体験できます。